Arubavlan基本配置手册

Arubavlan基本配置手册

一、本章重要描述有关控制器的基本的网络配置，重要内容如下：

二、VLANs配置

二、配置端口

四、VLAN协议

五、配置静态路由

六、环回IP地址配置

七、控制器IP地址配置

八、GRE隧道配置

第一部分：VLANs配置/虚拟局域网配置

2层互换机控制器的操作运用是以VLAN作为广播域，作为2层互换机，控制器规定需要外界

的途径来实现与VLANsF时途径连通“该控制器还可以作为第三层互换机，可以定义VLAN

之间的交通路线的控制器3

你可以在控制器上配置一种/多种物理端口实现一种虚拟局域网。此外，每个无线客户端口

关联是连接到一种特定的虚拟局域网的端口控制器上。你可以根据你的网络需要替代所有经

认证授权的无线顾客到单个VLAN或者替代到不一样的VLANs<,VLANs可以单独存在在控制器

里面或者可以通过802.lqVLAN标签存在在控制器外部。

你可以选择在控制器上为VLAN配置一种IP地址和子网施码，当VLAN上近来口勺物理端口被

激活的J同步，该IP地址也被激活。该VLANIP地址可以作为外部设备的一种接入点，指向

虚拟局域网IP地址的I数据包不是为控制器指定的I而是根据控制器日勺IP路由表来转发的。

创立和更新VLANs:创立和更新单个/多种VLANs

1)1.通过WEBUI来创立或者修改单个VLAN

、)打开Configuratioii>Network>VLANsp«

3)点击“ADD新建”按钮创立一种新H勺VLANo(若需要修改，点击Edit按钮)详细参照

58页创立一系列日勺VLANso

4)为VLAN增长一种物理端口，点击选项

5)点击Apply.

2.通过CLI(命令)创立或者修改VLAN

(host)(config)#vlan<id>

(host)(config)#interfacefastethernetIgigabitethernet<slot>/<port>

(host)(config)#switchportaccessvlan<id>

3.通过WEBLI来创立或者修改多种VLAN

1）一次性增长并联的VLANs,点击

2）在弹出时窗I」，输入你想要创立的VLANs序列。例如，增长一种ID号码为200-300

和302-33（邢JVLAN,输入200-300,302-330。

3）点击“OK”

4）为VLAN增长物理端点，点击“EDIT”进入你想要配置日勺VLAN页面，点击"Port

Selectionn选项设置端口。

5）点击“APPLY"

4.通过CLI（命令）创立或者修改VLANs

（host）（config）#vlan

（host）（config）#vlanrange200-300,302-350

1.创立、更新和删除VLANs池：创立、更新和删除VLANs池

1）通过WEBUI来创立单个VLAN：如卜邛J配置操作创立一种名为“Mygroup"的JVLAN池，VLAN

IDs2,4和12将被分派到该池

2）打开Configuration>Network>VLAN.

3）选择“VLANPoolt;”选项打开VLANPool匕窗口

4）点击“ADD”

5）在一栏输入你确定向VLAN池名称，名称大小在32字节内（不容许空格）。VLAN名

称不能修改，请谨慎选择

6）在一栏输入你想要增长的VLANID号码。假如你懂得ID,输入IP号码，以逗号隔开;

或者点击下拉菜单中的V-箭头选择需要增长的ID到VLAN池。

7）必须增长2个或2个以上F、JVLANIDs创立池

8）完毕所有IDs的增长后，点击”ADD“选项：VLAN池和指定的ID同步显示在VLAN

池的窗口上。假如VLAN池可用（必须指定2个或2个以上的ID）,状态将显示可用；假

如只创立了一种VLAN池或者没有增长ID或只增K门个ID,状态将显示为不可以。

9）点击Apply.

2.在窗口顶端，点击保留设置

3.更新VLAN池

1）在VLANPool窗口，点击“Modify”修改

2）修改VLANIDs的名称，不能修改VLAN名称

3）点击“UPDATE”修改

4）点击“APPLY”

在窗口顶端，点击保留设置

4.删除VLANPool

1)在VLANPool窗口,点击“Delete”删除选项，将弹出及时窗口

2)点击“0K”

3)点击“APPLY”

5.在窗口顶端，点击保留设置

运用CLI命令创立VLANPool:只有2个或2个以上的VLANIDs才可以创立VLANPool

(host)#configureterminal

EnterConfigurationcommands,oneperline.EndwithCNTL/Z

(host)(config)#vlan-namemygroup

(host)(config)#vlan-namemygrouppool

(host)(config)#

6.运用CU命令查看已存在的VLANIDs

(host)#configureterminal

EnterConfigurationcommands,oneperline.EndwithCNTL/Z

(host)(config)#showvlan

VLANCONFIGURATION

VLANDescriptionPorts

1DefaultFE1/0-3FE1/6GE1/8

2VLAN0002

4VLAN0004

12VLAN0012

210VLAN0210

212VLAN0212FE1/5

213VLAN0213FE1/4

1170VLAN1170FE1/7

1170VLAN1170FE1/7

7.运用CLI命令为VLANPool增长现行『、JVLANIDs

(host)#configureterminal

EnterConfigurationcommands,oneperline.EndwithCNTL/Z

(host)(config)Hvlan-namemygrouppool

(host)(config)Hvlanmygroup2,4,12

(host)(config)却

为了确认VLANPool的I状态和映射任务，可以运用“ShowVianNapping”命令实现:

(host)(config)#showvlanmapping

VLANNamePoolStatusVLANIDs

newgroupEnabled2,4,12

groupl23Disabled

第二部分：端口配置

迅速以太网和千兆以太网端口都可以被设置为访问或者中继模式。默认状况下，访问模式下

的端口以及途径传播仅为指定口勺VLAN服务。在中继模式下，一种端口可认为多种VLANs

实现途径传播。

对于中继端口，不管该端n与否为控制器上的所有VLANs配置实现途径传播还是为了某个

特定的VLANs实现途径传播。你可以设别为该端口服务的当地VLAN。中继端口•般运用

802.lq标签为特定的VLANs标注框架。不过，当地VLAN无标注标识。

信息分类为可信或不可信:不仅需要考虑输入物理端点和隧道配置对无线信息的安全影响也

许，还需要考虑与VLAN连接的端点和渠道口勺可信性。

1.有关可信/不可信的I物理端点

默认状况下，控制器上的物理端点都是安全的并且都是连接到内部网络上口勺。不可信的端点

一般是连接到第三方APs、公共网络或者其他访问控制可被轻易攻破的网络上aJ。当确认一

种物理端点为不可信的时候，所有需要通过该端口进行的信息传播都需要通过一种预先设

定时访问控制程序。

2.有关可信/不可信II勺VLANs

你同样可以通过确认VLAN界面和端口/隧道来确认VLAN信息传播日勺安全性。这表明，只

有在连接到VLAN上日勺端II可信的状况下，无线信息输入端点才是安全肛否则则是不可信

的。当连接到VLANs的端口不可信时，所有输入或者输出的信息都需要通过预先设定的

ACL程序。例如，假如企业为访问者提供接入容许，那么访问者久必须通过预先设定的ACL

程序进入受限界面。这种状况下，这种设置是可行的。

你可以在中继模式下设置系列可信或者不可信的VLANs。一下口勺图表5阐明了端口和VLAN

对信息安全影响的I联络。只有在端口和VLAN都安全的状况下，信息传播状态才是安全口勺。

假如信息传播不安全，那么所有的信息传播都必须通过预先设置"勺访问控制程序和无线条

款。

图表5:辨别信息口勺安全性和不安全性

Table5ClassifyingTrustedandUntrustedTraffic

PortVLANTrafficStatus

在访问模式下通过WEBUI来配置安全/不安全的端口和VLANs:

1）如下程序为：配置-一种不安全的以太网端口，指定VLANs并使其为不可信区J,令需要

为不可信的信息访问预先设置需要通过U勺访问程序。

2）打开：窗口

3）在PortSelection选项中选择需要配置的端口

4）在一栏，清晰安全的端口，使其配置为不可信"勺。（默认端口都是安全的）

5）在一栏，选择“ACCESS”

6）在“VLANID”时下拉菜单中选择需要进过该端点传播的“VLANID”

7）在一栏中，清晰安全口勺ALAN,使其配置为不可信的“（默认VLAN都是安全的）

8）在下拉菜单中，选择VLAN信息传播需要通过的程序，你可认为可信或者不可信口勺

VLANs选择信息传播预订程序

9）从选项中，在下拉菜单中选择经该端口回传信息需要通过日勺预订程序

10）从下拉菜单外选择经该端口回传信息需要通过的预订程序

II）选择合用于该集点信息传播的端口和VLAN,从下拉菜单中为其选择预订程序

12）点击"APPLY”

在访问模式下通过CLI命令来配置安全/不安全的端口和VLANs:如：

(host)(config)#interfacerangefastethernet1/2

(host)(config-if)#switchportmodeaccess

(host)(config-if)4notrusted

(host)(config-if)#switchportaccessvlan2

(host)(config-if)#notrustedvlan2

(host)(config-if)#ipaccess-group叩-aclsessionvlan2

(host)(config-if)#ipaccess-groupvaliduserethaclin

(host)(config-if)#ipaccess-groupvaliduserethaclout

(host)(config-if)#ipaccess-groupvalidusersession

在中继模式下通过WEBUI来配置安全/不安全的端口和VLANs：

1）如下程序为：配置一系列的以太网端II为不安全的当地中继端口，指定VLANs并使其

为不可信的，令需要为不可信的信息访问预先设置需要通过的I访问程序。

2）打开：窗口

3）在P。1^Selection选项中选择需要配置的端口

4）在一栏，选择中继“TRUNK”

5）为了辨别当地VLAN,从“NaliveVLAN”下拉菜单中点击〈一箭头

选择如下任意一种方式来控制通过端口的信息传播类型：

--除了其中从下拉菜单项选择择的那个端口，其他的短信信息传播均需为VLANs

服务

AllowVTANs-

--所有从下拉菜单中选择的信息传播的端点都为VLANs服务

RemoveVLANs-所有的端点信息传播都不为VLANS服务

6）为该端点指定不安全的VLANs,点击"TRUSTEDEXCEPT”选项。在一种相对安全口勺

VLAN领域，输入一系列你指定的不安全的VLANs。（例如，200-300,401-500等）只有

在该清单中的VLANs才是不安全的，如需要指定某个VLAN为不安全的J,仅需从下拉

菜单中选择一种VLANo

7）为该端点指定安全於JVLANs,点击“UNTRUSTEDEXCEPT”选项。在一种相对不安全

H勺VLAN领域，输入一系列你指定H勺安全的VLANs。（例如，200-300,401-500等）只有

在该清单中的VLANs才是安全的，如需要指定某个VLAN为安全的J,仅需从下拉菜单

中选择一种VLAN。

8)如需要移除某个VLAN,点击"REMOVEVLANs"选项，从下拉菜单中选择一种你想

要移除的VLAN,点击向左的箭头从列表中移除即可。

9)为VLAN信息传播设定需要通过的预订程序，在“SESSIONFIREWALLPOLICY”下

面，点击“NEW”选项

10)输入VIAN【D或者从下拉菜单中选择，从policy下拉菜单中单击“add”选择增长，为

VLAN信息传播选搭需要预设的程序。选择的VLAN和程序都会显示在SESSION

FIREWALLPOLICY界面

II)完毕VLAN设置和程序设置，点击“CANCEL”

12)点击“APPLY"

在中继模式下通过CLI命令来配置安全/不安全的端口和VLANs:

(host)(config)#interfacefastethemet2/0

(host)(config-if)#descriptionFE2/

(host)(config-if)#trustedvlan1-99,101,104,106-199,201-299

(host)(config-range)#switchportmodetrunk

(host)(config-if)#switchporttrunknativevlan100

(host)(config-range)#ipaccess-group

(host)(config-range)#ipaccess-grouptestsessionvlan2

第三部分：有关VLAN协议

(-)VLAN协议是将一种客户端分派一种虚拟局域网的几种措施之一，VLAN协议分

派有一定的优先次序。VLANs协议的优先次序如下：(从低到高)

（二）默认的VLAN配置WLAN（详见11页的“virtualAPs"）

（三）在客户端确认之前,VLAN可以根据客户端的属性规则（网路，模式，客户端，定位,

加密类型）被派生出来。根据客户端属性派生出来口勺详细技术规则比由VLAN配置代顾客

派生出来的规则享有优先权。

（四）在客户端被确认后，VLAN可以成为VLAN配置默认角色日勺身份验证措施,例

如802.1X或者VPN。

（五）在客户端被确认后，VLAN可以由认证服务器的返回属性被派生出来（服务器派

生规则）。详细技术的VLAN派生规则优先于由VLAN配置的顾客角色派生出来的规则。

在客户端被确认后，VLAN可以从微软隧道属性派生出来（隧道类型、隧道介质类型和隧道

专用ID）.三种属性必须同步存在，不规定任何服务器派生规则。

在客户端被确认之后,VLAN可以从供应商特性（VSA）中派牛.出来作RADIUS服务器属性。

不规定任何服务器派生规则。假如VSA是现成的，他将优先于其他任何VLAN优先协议。

为VLAN指定一种静态地址

可以手工在控制器上为VLAN指定一种静态IP地址。一种控制器上的VLAN至少需要指定

一种静态IP地址。

用WEBUI为VLAN指定静态地址

1.在WEBUI页面打开，点击“EDFT”编辑。

2.选择“usethefollowingIPaddress”选项,输入IP地址和网络掩码的接口。假如需要，你还

可以通过点击“ADD”为VLAN增长DHCP服务器H勺指定地址。

3.点击“APPLY”

用CLI命令为VLAN指定静态地址

interfacevlan<id>

ipaddress〈address〉<netmask>

为VLAN指定动态接受地址

1.控制器上的VLAN可以通过如下途径获得其IP地址：

2.由网络管理员手动配置：这是一种默认的方式，在62页的对其有详细的描述。一种控

制器上I向VLAN至少需要一种动态IP地址。

3.通过动态主机配置协议（DHCP）或者点对■点时以太网服务协议（PPPOE）来指定动态

IPo详细措施在下面的章节中有详细阐明。

在一种分办公室里，你可以将控制器连接到•种上行开关或者将•种动态IP地址指定到控

制器设备上。例如，控制器可以被连接到DSL（数字顾客线）、调制解调器上或者远程宽带接

入服务器（BRAS）上,“Figure2“图表将显示一种控制器连接到调制解调器上的分办公室。

VLAN1拥有一种静态IP地址，同步VLAN2通过上行设备上的DHCP或者PPPOE协议拥

有一种动态IP地址。控制器上的DHCP服务器在当地M络中FI勺IP地址指定池中为顾客指

定IP地址。

为了使得控制器能为VLAN获得一种动态IP地址，必须保证DHCP或者PPPOE客户端在

VLAN控制器上。

1.如下是在保证DHCP和PPPOE连接到控制器上面H勺限制条件：

2.必须保证DHCP/PPPOE客户端存在控制器上的J一种VLAN上。这个VLAN不能是VLAN1.

3.只有一种VLAN端口可以被连接到调制解调器或者上行开关上。

4.至少有一种在VLAN上口勺端口必须在DHCP/PPPOE客户端从服务器上祈求IP地址之前

是上升状态。

只有•种在控制器上的VLAN可以通过DHCP/PPPOE来获取IP地址,DHCP和PPPOE不能

同步存在在控制器上。

保证DHCP客户端

DHCP服务器为某个特定期间段分派IP地址称为“租赁控制器会在租赁到期之前自动更

新。当你关闭VLAN时,DHCP租赁将自动免除。

用WEBUI来确认VLAN上卧JDHCP协,议

।打开=Configuration>Network>IP>IPInterfacesj

2.点击“EDIT”编辑之前创立日勺VLAN

3选择ObtainanIPaddressfromDHCP.

4.点击“APPLY”

用CLI命令来确认VLAN上的DHCP协议

vlan<id>

interfacevlan<id>

ipaddressdhcp-client

保证PPPOE客户端

1.验证BRAS（远程宽带接入服务器），祈求动态IP,控制器必须完毕如下操作：

2.PPPOE顾客名和密码必须连接到DSL网络上

3.PPPOE服务名称一ISP（互联网服务供应商）名称或者PPPOE服务器上配置的服务等级协

议名称都可用

当关闭VLAN时,PPPOE也将被关闭。

用WEBUI来确认VLAN上/JPPPOE协议

।打开Configuration>Network>IP>IPInterfaces9页面

2.点击”EDIT"编辑之前创立的JVLAN

ObtainanIPaddresswithPPPoH

3.选择

4.为PPPOE会议输入服务器名称、顾客名和密,码

5.点击"APPLY"

用CLI命令来确认VLAN上的PPPOE协议

ippppoe-service-name<service-name>

ippppoe-username<name>

ippppoe-password〈password）

vlan<vlan>

interfacevlan<vlan>

ipaddresspppoe

DHCP/PPPOE上ITJ默认网关地址

你可以从DHCP/PPPOE服务器上获得路由器IP地址作为控制器默认网关地址。

运用WEBUI通过DHCP/PPPOE设置默认网关地址

•Configuration>Network>IP>IPRoutesf

1.打开...—..….....页面

2选择（Ob3in21IPaddressautomatically

3.点击“APPLY”

运用CLI命令通过DHCP/PPPOE设置默认网关地址

ipdefault-gatewayimport

DHCP/PPPOEI.I^DNS（域名服务器）/WINS（WindowsInternet命名服务）

DHCP/PPPOE服务器同样可以提供DNS服务器或者NETBIOS服务器IP地址。该IP地址

可以通过控制器内部DHCP（动态主机配置协议）服务器传递到无线顾客处。

例如：下面我们为一种员工在控制器的DHCP服务器上配置分派地址，这个通过控制器从

DNS服务器上获得的IP地址将通过DHCP/PPPOE将自己H勺IP地址一起提供应顾客。

通过WEBUI来配置DNS/WINS服务器

I.打开页面

2选择'EnableDCHPServer.Confijfiiration>Network>IP>DHCPServer

3.在指定池下选择“ADD”

4.为pool设置名称为**employee-pool,,

5.设置..254为默认途径

6.选择ImportfromDHCP/PPPoE设置DNS服务器

7.选择ImportfromDHCP/PPPoE设置WINS服务器

8.设置.0为IP地址，设置255.255.255.0为子网掩码

9.点击”Done“完毕

通过CLI命令来配置DNS/WINS服务器

ipdhcppoolenployee-pool

default-router10.1.1.254

dns-serverimport

netbios-nanie-serverimport

network10.1.1.0255.255.255.0

源NAT（网络地址转换）为动态VLAN地址

当VLAN接口通过DHCP/PPPOE获得IP地址时,NATpool和ACL回话将根据动态指定的

IP地址自动创立。他将容许你设置政策，将指导你为DHCP/PPPOE顾客设置个人/公共地址。

当VLAN上的IP地址更改时，动态NAT池里面的地址将随之更改以适应新的地址。

例如，如卜R勺规则简介的就是顾客访问政策不能通往内部网络地址时，通往其他目的地(外

部的目H勺地册顾客访问政策就是控制器上口勺DHCP/PPPOE客户端IP地址曰勺网络地址转换

源。

运用WEBUI为动态VLAN指定网络地址转换源(SourceNAT)

I.打开页面，点击”ADD“增长"Guest”顾客访问

a.增长规则，点击”ADD“：

b.确认源，选择“ANY”

c.确认目的地，选择“NETWORK”输入.0作为管理员IP地址，输入255.255.0.0作为了一网

掩码

d.确认服务，选择"ANY”

e.确认作用，选择"REJECT"

f.点击“ADD”

a.增长新的规则，点击“ADD"

b.离开源、目的地和服务器，选择"ANY“

c.确认作用，选择"SCR-NAT"

d.确认NATPOOL,选择

点击“ADD”

2.点击“ADD”

运用CL1命令为动态VLAN指定网络地址转换源(SourceNAT)

ipaccess-listsessionguest

anynetwork10.1.0.0255.255.0.0anydeny

anyanyanygrc-natpooldynamic-srcnat

为VLAN接口指定NAT源

上一章节里面简介的配置案例阐明了用policy配置网络地址转换源合用于客户角色。你

也可认为VLAN接口确认网络地址转换源，为所有退出VLAN的流量导致源地址中的NAT

被完毕。

(1)退出VLAN数据包是由外部端口口勺源IP地址决定的，详细操作如下：

假如您为VLAN配置了个人1P地此控制器就被认为是默认网关控制器子网。退出该VLAN

的数据包，就为其源IP地址配置了控制器的HP地址。

假如控制器在第3层转发包，退出该VLAN的数据包，就为其源IP地址配置了next-hop

VLAN的IIP地址。

配置示例

在下面U勺例子中，捽制器在企业内部网络T作,VI.AN1是外部VLAN.VI.AN6I•的J

流量是使用控制器的IP地址的源NAT。在这个例子中，IP分派给VLAN1的地址被川作控

制器的IP地址，因此，从VLAN6上的流量将通过源NAT到66.量将.5。

图3的例子：使用控制器IP地址的源NAT

使用WebUI为VLAN接口配置源NAT:

1打开“导航》网络〉VLAN”的配置页面。单击“添加”配置VLAN6（VLAN1为初始设

置的配置）。

a.输入[内6为VLAN[ftID地址。

b.点击“Apply”按钮。

2打开：导航到“配置》网络>IP>IP接口”页面。

3为VLAN6点击“编辑”：

a.选择“使用下面的IP地址工

b.输入网络掩码於JIP地址为192.168.2.1和255.255.255.0。

c.选择该VLAN复选框“启用源NAT”。

4点击“Apply”按钮。

使用CLI命令为VLAN接口配置源NAT

interfacevlan1

interfacevlan6

ipnatinside

用CLI命令配置VLAN路由

interfacevlan<id>

ipaddress{<ipaddr><netmask>|dhcp-client|pppoe}

noiprouting

四配置静态路由

控制器上配置静态路由(如默认路由)，做到如下几点：

使用WebUI配置静态路由

1NavigatetotheConfiguration>Network>IP>IPRoutespage.

2单击“Add”添加一种静态路由到目的网络或主机。输入目的IP地址和网络掩码

(255.255.255.255)主机路由时下一跳IP地址

3单击“完毕添加条HDonetoaddtheentry0注意路由尚未被被添加到路由表。

点击Apply"添加路由到路由表。消息配置更新成功，确认路线已被添加。

使用CLI配置静态路由

iproute<address><netmask><next_hop>

五配置环回IP地址

这个LoopbackIP地址是一种逻辑控制器的IP接口，用于与接入点通信。控制器的IP地址

为I可环地址被用作终止VPN和GRE隧道。

RADIUS服务器发起祈求，并接受行政通信。您配置作为一种32位掩码"勺主机地址U勺

Loopback地址。回送地址是小受任何特定的接11,在任何时候都运作。使用这个接II,保

证IP地址是通过VLAN接口访问。它应当是所有外部网络的路。

假如你不使用的VLAN1连接到网络控制器，您必须配置•种loopback地址。假如没有配置

loopback接口时地址，那么首先配置VLAN接口地址。一般状况下，VLAN1是出厂默认设

置，从而成为控制器的IP地址

使用WebUI配置环回IP地址

1导航到配置,网络〉控制器>系统设置页面，并找到Loopback接口部分。Configuration>

Network>Controller>SystemSettingspage

2根据需要修改IP地址。

3点击Apply按钮。

假如您使用的是回传U勺IP地址来访问WebUI中，变化环回IP地址，将导致连接受

损。Aruba提议您使用一种VLAN接口的IP地址访问WebUI。

4导航到维修〉控制器>重新启动控制器页面，NavigatetotheMaintenance>Controller>

RebootControllerpage重新启动控制器台看IP地址的变化。

5单击“继续Continue”保留配置

6当提醒，变化被成功写入到闪存，单